Rapport sur les résultats

Rapport sur les résultats de la consultation : Révision totale de l’ordonnance relative à la loi fédérale sur la protection des données (OLPD)

Afin d’assurer une mise en œuvre correcte du nouveau droit, il convient toutefois d’attendre la version définitive de l’ordonnance⁵⁵⁰. Ce n’est qu’ensuite qu’il sera possible de débuter

l’adaptation des processus, respectivement la mise en œuvre et le renforcement des solutions basées sur les technologies de l’information. Avant l’activation de ces systèmes, des tests devront également encore être effectués. De plus, les collaborateurs devront être formés selon leurs fonctions respectives⁵⁵¹.

Il résulte de ce qui précède que le délai de mise en œuvre de 6 mois est extraordinairement court. Santésuisse est d’avis que, pour la plupart des entreprises, cela n’est pas réalisable. En effet, comme le relève un petit nombre de participants, le nouveau paquet législatif est extrêmement complexe et exige de nombreuses adaptations⁵⁵². Il conviendrait d’avoir nettement plus de temps pour adopter une approche aussi globale que possible dans la mise en

œuvre⁵⁵³. L’ASB et economiesuisse sont d’avis qu’une période de deux ans environ serait nécessaire pour les activités mentionnées ci-dessus. L’ASA évalue cette période à une année environ.

Dans l’UE, deux ans avaient été prévus pour la mise en application de l’ensemble du RGPD. Le Parlement suisse a quant à lui pris une autre décision de principe pour la nLPD. Néanmoins, les dispositions transitoires prévues lors du processus parlementaire s’avèrent souvent trop courtes. À cela s’ajoute que les dispositions transitoires doivent être fixées uniquement sur la base de critères objectifs. C’est pourquoi il est devenu courant de fixer si nécessaire des dispositions transitoires complémentaires au niveau de l’ordonnance. Selon certains participants, il va de soi qu’un report de l’entrée en vigueur de l’intégralité du paquet législatif au 1^erjuillet 2023 serait également envisageable⁵⁵⁴.

Partant, certains participants proposent de reporter la mise en vigueur au 1^erjanvier 2023 au plus tôt⁵⁵⁵. Une autre proposition consiste à compléter ce régime transitoire lacunaire au niveau de l’ordonnance en y ajoutant d’autres dispositions transitoires. En particulier, des délais transitoires adaptés devraient être prévus pour toutes les nouvelles obligations qui engendrent un travail considérable. C’est le cas à tout le moins pour l’obligation d’assurer une sécurité adéquate des données (art. 8 nLPD, en relation avec l’art. 19 P-OLPD), pour l’obligation de tenir un registre des activités de traitement (art. 12 nLPD), ainsi que pour l’obligation d’annoncer dans les meilleurs délais les cas de violation de la sécurité des données (art. 24 nLPD, en relation avec l’art. 19 P-OLPD). Pour ces obligations, et malgré le fait qu’elles existent déjà actuellement, un délai transitoire jusqu’au 1^erjuillet 2023 au moins est préconisé⁵⁵⁶.

3.3 Annexe 2

3.3.1 Ordonnance VOSTRA

Le canton de Soleure fait remarquer que l’art. 18 de l’ordonnance VOSTRA du 29 septembre 2006⁵⁵⁷ prévoit que les données du casier judiciaire au sens de l’art. 366, al. 2 à 4, CP, ne peuvent pas être enregistrées ou conservées de manière isolée dans une nouvelle banque